Malwarebytesは8月23日(米国時間)、「Thousands of Hikvision video cameras remain unpatched and vulnerable to takeover」において、約8万台のセキュリティカメラが脆弱性を抱えたままの状態にあり、パッチが適用されていないと伝えた。今回、Hikvision製Webカメラに脆弱性があり、いまだにセキュリティ更新プログラムが適用されていないカメラが数多くあることがわかった。

  • Thousands of Hikvision video cameras remain unpatched and vulnerable to takeover

    Thousands of Hikvision video cameras remain unpatched and vulnerable to takeover

2021年9月にHikvision製カメラの脆弱性が見つかっている。この脆弱性は悪用されると、遠隔操作で乗っ取られる危険性があるという。そして、この脆弱性は少なくとも2016年から存在しており、サイバー犯罪者が特別に細工したコマンドを含むメッセージを送信することで、コマンドインジェクション攻撃を行えるとされている。

この脆弱性はCVE-2021-36260として特定されており、Hikvisionは2021年9月にファームウェアの更新を通じて対処を行っている。脆弱性の深刻度はCVSSv3スコア値9.8で、Critical(緊急)と位置づけられている。

サイバー脅威インテリジェンスを提供するCYFIRMAの発表により、100カ国にわたる2,300の組織で使用されている数万台のカメラが、いまだにセキュリティ更新プログラムを適用しておらず、脆弱性が突かれる可能性があることが明らかとなった(参考「Research | Cyber security Whitepapers | Cyber Threat Intelligence Reports」)。

CYFIRMAはインターネットに接続されたHikvisionのWebサーバ28万5000台を分析。そのうち約8万台がまだ脆弱であることを突き止めた。ほとんどは中国と米国にあり、ベトナム、英国、ウクライナ、タイ、南アフリカ、フランス、オランダ、ルーマニアにも脆弱なカメラがあるとのことだ。

緩和策として、Hikvision製カメラに対して最新バージョンのパッチを適用することが望まれている。また、一般的にインターネットからカメラに直接アクセスすることは望ましくないとされており、アクセスする場合はVPNの背後に置くよう推奨されている。